Iran Dentro i PLC Americani: L'IRGC Ha Già Causato Danni Reali a Impianti Idrici ed Energetici USA

Il 7 aprile 2026, sei agenzie federali statunitensi — FBI, CISA, NSA, EPA, Dipartimento dell'Energia e Cyber Command — hanno pubblicato l'advisory congiunto AA26-097A con un messaggio inequivocabile: hacker affiliati all'Iran hanno compromesso controller logici programmabili (PLC) in infrastrutture critiche americane, causando danni operativi reali e perdite finanziarie. Non si tratta di un'allerta preventiva su rischi teorici: le intrusioni sono avvenute, i sistemi sono stati manipolati, le operazioni sono state interrotte. Il NERC (North American Electric Reliability Corporation) ha confermato di stare monitorando attivamente la rete elettrica nazionale in coordinamento con il Dipartimento dell'Energia e il Consiglio di Coordinamento del Sottosettore Elettrico.

CyberAv3ngers 2.0: Dall'Attacco ai PLC Unitronics alla Compromissione dei Rockwell

L'advisory identifica l'attore come affiliato all'IRGC (Corpo delle Guardie della Rivoluzione Islamica) — Cyber Electronic Command (CEC). Le agenzie lo collegano esplicitamente ai CyberAv3ngers (alias Shahid Kaveh Group), lo stesso gruppo che nel novembre 2023 aveva compromesso almeno 75 dispositivi PLC Unitronics con credenziali predefinite in impianti idrici americani. Quella operazione era stata considerata relativamente primitiva: credenziali di default, PLC esposti su Internet, nessuna sofisticazione tecnica particolare.

La campagna del 2026 segna un salto qualitativo drammatico. Gli attaccanti non usano più credenziali predefinite: utilizzano infrastruttura ospitata presso terze parti e software di configurazione industriale legittimo — specificamente Rockwell Automation Studio 5000 Logix Designer — per creare connessioni accettate verso i PLC delle vittime. In altre parole, gli iraniani parlano ai PLC americani nella loro stessa lingua, usando gli strumenti che gli ingegneri industriali usano ogni giorno. Questo rende l'attacco estremamente difficile da distinguere dall'attività legittima.

I Bersagli: Acqua, Energia, Servizi Governativi

I PLC compromessi erano distribuiti in tre settori critici: sistemi idrici e di trattamento acque reflue (WWS), settore energetico e servizi governativi (inclusi municipi). I dispositivi target includono Rockwell Automation CompactLogix e Micro850, ampiamente utilizzati nell'automazione industriale americana — dal trattamento delle acque alla generazione elettrica, dalla manifattura alla distribuzione di carburante.

Ma il dettaglio più allarmante è un altro: il targeting di porte associate a protocolli di altri vendor OT suggerisce che gli attaccanti stanno prendendo di mira anche dispositivi prodotti da aziende diverse da Rockwell, inclusi i PLC Siemens S7. Questo espande enormemente la superficie di attacco: non è una campagna contro un singolo vendor, ma un'offensiva sistematica contro l'intero ecosistema dell'automazione industriale americana.

• Settore idrico (WWS): impianti di trattamento acque e acque reflue — controllo di processi chimici, pompe, valvole
• Settore energetico: generazione elettrica, distribuzione, sottostazioni — NERC monitora attivamente la rete
• Servizi governativi: municipi e amministrazioni locali — stessi target della campagna iraniana di password spraying
• Dispositivi: Rockwell CompactLogix, Micro850, potenzialmente Siemens S7
• Porte target: 44818 (EtherNet/IP), 2222 (Rockwell), 102 (Siemens S7), 22 (SSH), 502 (Modbus)

Anatomia Tecnica: Studio 5000, Dropbear e Manipolazione HMI

La catena di attacco ricostruita dalle agenzie rivela un livello di competenza OT significativo. Nella fase di accesso iniziale, gli attaccanti hanno utilizzato indirizzi IP basati all'estero per accedere a PLC Rockwell esposti su Internet. L'infrastruttura era ospitata presso provider terzi, rendendo difficile l'attribuzione diretta. Il software utilizzato per interagire con i PLC è Studio 5000 Logix Designer — lo strumento ufficiale di Rockwell Automation per la programmazione e configurazione dei PLC. Questo significa che gli attaccanti possedevano non solo il software (che richiede licenza), ma anche la competenza per utilizzarlo operativamente.

Una volta stabilita la connessione, gli attaccanti hanno estratto i file di progetto dei PLC — che contengono la logica di controllo dei processi industriali — e hanno manipolato i dati visualizzati sugli HMI (Human Machine Interface) e sui display SCADA. Manipolare un HMI significa che gli operatori vedono dati falsi: livelli d'acqua corretti quando sono critici, temperature normali quando sono fuori range, valvole aperte quando sono chiuse. In un impianto di trattamento acque, questo può significare acqua contaminata distribuita alla popolazione. In una centrale elettrica, può significare guasti a cascata.

Per la persistenza, gli attaccanti hanno distribuito Dropbear — un'implementazione leggera di SSH — sugli endpoint delle vittime per mantenere l'accesso remoto attraverso la porta 22. Dropbear è una scelta tatticamente intelligente: è un software legittimo, leggero, progettato per sistemi embedded — esattamente il tipo di ambiente in cui operano i PLC. La sua presenza su un dispositivo OT può facilmente passare inosservata.

Dal Medio Oriente all'Europa: Perché Questa Campagna Riguarda Anche Noi

La campagna iraniana contro i PLC americani potrebbe sembrare distante dall'Europa, ma tre fattori la rendono direttamente rilevante. Primo: gli stessi dispositivi Rockwell Automation e Siemens sono il cuore dell'automazione industriale europea. Un impianto di trattamento acque a Milano usa gli stessi CompactLogix di uno a Pittsburgh. Le TTPs sviluppate contro l'America funzionano identicamente in Europa.

Secondo: il Waterfall Security Threat Report 2026 documenta che gli attacchi nation-state e hacktivisti contro infrastrutture critiche sono raddoppiati, con Germania, USA e Russia come principali geografie vittima. L'Europa non è un obiettivo futuro — è già un bersaglio attivo. Terzo: la sincronizzazione tra operazioni cyber e cinetiche iraniane — già documentata nella campagna di password spraying contro i municipi israeliani — suggerisce che la compromissione dei PLC potrebbe essere un pre-posizionamento per operazioni future, non solo spionaggio.

Il Report Waterfall 2026: I Numeri della Minaccia OT

Il Waterfall Security Threat Report 2026 fornisce il contesto quantitativo. Nel 2025 si sono verificati 57 incidenti cyber con conseguenze fisiche su infrastrutture critiche — in calo del 25% rispetto ai 76 del 2024, ma per ragioni temporanee legate al rallentamento del ransomware. Il dato preoccupante è un altro: gli attacchi nation-state e hacktivisti sono raddoppiati. Il ransomware rimane la principale causa di conseguenze fisiche, ma la composizione della minaccia sta cambiando: meno criminali, più Stati.

Il report prevede che gli attacchi ransomware riprenderanno a crescere nel 2026-2027, mentre gli attacchi nation-state continueranno la loro traiettoria ascendente. La convergenza tra le due categorie — come dimostra Storm-1175 in Cina e CyberAv3ngers in Iran — rende il panorama particolarmente complesso: attori statali che usano tattiche ransomware, e gruppi criminali che servono obiettivi geopolitici.

• 57 incidenti cyber con conseguenze fisiche su infrastrutture critiche nel 2025
• Attacchi nation-state e hacktivisti raddoppiati rispetto al 2024
• Germania, USA e Russia: principali geografie vittima
• Il ransomware resta la prima causa di danni fisici, ma gli attacchi statali crescono più velocemente
• Previsione: ransomware in ripresa nel 2026-2027, attacchi nation-state in crescita continua

Indicatori di Compromissione e Porte Target

• Porta 44818: EtherNet/IP — protocollo Rockwell Automation CIP (Common Industrial Protocol)
• Porta 2222: protocollo proprietario Rockwell Automation per configurazione PLC
• Porta 102: Siemens S7comm — comunicazione con PLC Siemens S7-300/400/1200/1500
• Porta 22: SSH — utilizzata per Dropbear, accesso remoto persistente
• Porta 502: Modbus TCP — protocollo industriale universale per SCADA/HMI
• Software: Rockwell Automation Studio 5000 Logix Designer (usato per connettersi ai PLC)
• Persistenza: Dropbear SSH server distribuito su endpoint vittima
• IOC STIX completi disponibili nell'advisory CISA AA26-097A e nel file AA26-097A.stix.xml

Raccomandazioni Operative

1. 1.Disconnettere i PLC da Internet: nessun PLC dovrebbe essere raggiungibile direttamente da Internet. Se l'accesso remoto è necessario, deve passare attraverso VPN con MFA, jump box dedicati e monitoraggio continuo.
2. 2.Bloccare le porte OT sul perimetro: le porte 44818, 2222, 102 e 502 non devono mai essere accessibili dall'esterno. Implementare regole firewall esplicite e verificarle con scansioni periodiche.
3. 3.Audit dei dispositivi Rockwell e Siemens: verificare tutti i PLC CompactLogix, Micro850 e Siemens S7 per connessioni non autorizzate, modifiche ai file di progetto e presenza di Dropbear o altri software SSH non previsti.
4. 4.Monitoraggio delle connessioni Studio 5000: ogni connessione Studio 5000 Logix Designer deve essere loggata e correlata con attività autorizzata. Connessioni da IP esterni o in orari anomali richiedono indagine immediata.
5. 5.Verifica integrità HMI/SCADA: confrontare i dati visualizzati sugli HMI con misurazioni indipendenti (sensori fisici, letture manuali) per identificare eventuali manipolazioni dei display.
6. 6.Segmentazione IT/OT rigorosa: la rete OT deve essere fisicamente o logicamente separata dalla rete IT. Il traffico tra le due zone deve passare attraverso una DMZ industriale con ispezione profonda dei pacchetti.
7. 7.Piano di fallback manuale: ogni processo industriale critico deve avere procedure operative manuali testate e personale addestrato a eseguirle. In caso di compromissione OT, la capacità di operare senza automazione è l'ultima linea di difesa.
8. 8.Threat hunting con IOC CISA: utilizzare gli indicatori STIX dell'advisory AA26-097A per cercare attivamente segni di compromissione pregressa nei log di rete e nei dispositivi OT.

Conclusione: La Guerra Ibrida È Arrivata alle Valvole e ai Trasformatori

L'advisory AA26-097A segna un punto di non ritorno nella guerra ibrida iraniana. Non parliamo più di spionaggio, DDoS o defacement — parliamo di attori statali che manipolano i controller fisici che governano il trattamento dell'acqua potabile e la distribuzione dell'energia elettrica. La progressione dai PLC Unitronics con credenziali di default (2023) ai Rockwell Automation con Studio 5000 (2026) mostra un attore in rapida maturazione tecnica, che sta acquisendo competenze OT specifiche e strumenti industriali professionali.

Per l'Europa, la lezione è immediata: se l'Iran può compromettere i PLC delle infrastrutture critiche della nazione più avanzata tecnologicamente al mondo, può farlo ovunque. E non è solo l'Iran: la Cina (Volt Typhoon) si pre-posiziona, la Russia (Sandworm) ha già colpito reti elettriche in Ucraina e Danimarca. La domanda per ogni operatore di infrastrutture critiche europeo non è se sarà preso di mira, ma quando — e se i suoi PLC sono pronti per quell'eventualità.